下载文档原格式
信息安全工作总体方针和安全策略第一章总则第二章第一条为加强和规范技术部及各部门信息系统安全工作，提高技术部信息系统整体安全防护水平，实现信息安全的可控、能控、在控，依据国家有关法律、法规的要求，制定本文档。
第二条本文档的目的是为技术部信息系统安全管理提供一个总体的策略性架构文件。
该文件将指导技术部信息系统的安全管理体系的建立。
安全管理体系的建立是为技术部信息系统的安全管理工作提供参照，以实现技术部统一的安全策略管理，提高整体的网络与信息安全水平，确保安全控制措施落实到位，保障网络通信畅通和业务系统的正常运营。
第三章适用范围第四章第三条本文档适用于技术部信息系统资产和信息技术人员的安全管理和指导，适用于指导公司信息系统安全策略的制定、安全方案的规划和安全建设的实施，适用于公司安全管理体系中安全管理措施的选择。
第五章引用标准及参考文件第六章第四条本文档的编制参照了以下国家、中心的标准和文件第五条一《中华人民共和国计算机信息系统安全保护条例》第六条二《关于信息安全等级保护建设的实施指导意见》信息运安〔2009〕27 号第七条三《信息安全技术信息系统安全等级保护基本要求》GB/T 22239-2008四《信息安全技术信息系统安全管理要求》GB/T 20269—2006 五《信息系统等级保护安全建设技术方案设计要求》报批稿六《关于开展信息安全等级保护安全建设整改工作的指导意见》公信安[2009]1429号第七章总体方针第八条企业信息服务平台系统安全坚持“安全第一、预防为主，管理和技术并重，综合防范”的总体方针，实现信息系统安全可控、能控、在控。
依照“分区、分级、分域”总体安全防护策略，执行信息系统安全等级保护制度。
第八章总体目标第九章第九条信息系统安全总体目标是确保企业信息服务平台系统持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性，防止因信息系统本身故障导致信息系统不能正常使用和系统崩溃，抵御黑客、病毒、恶意代码等对信息系统发起的各类攻击和破坏，防止信息内容及数据丢失和失密，防止有害信息在网上传播，防止中心对外服务中断和由此造成的系统运行事故。
1.1基本概念1.1.1体系结构:是系统整体体系结构的描述的一部分，应该包括一组相互依赖、协作的安全功能相关元素的最高层描述与配置，这些元素共同实施系统的安全策略。
1.1.2信息安全体系结构1.1.3信息安全保障：是人类利用技术和经验来实现信息安全的一个过程。
1.2三要素1.2.1人：包括信息安全保障目标的实现过程中的所有有关人员。
1.2.2技术：用于提供信息安全服务和实现安全保障目标的技术。
1.2.3管理：对实现信息安全保障目标有责任的有管人员具有的管理职能。
1.2.4三者的相互关系：在实现信息安全保障目标的过程中，三个要素相辅相成，缺一不可。
1.2.5作为一个信息安全工作者，应该遵循哪些道徳规范？1、不可使用计算机去做伤害他人的事2、不要干扰他人使用计算机的工作3、不要窥视他人的计算机文件4、不要使用计算机进行偷窃。
5、不要使用计算机来承担为证6、不要使用没有付款的专用软件。
第2章信息安全体系结构规划与设计2.1网络与信息系统总体结构初步分析2.2信息安全需求分析2.2.1物理安全：从外界环境、基础设施、运行硬件、介质等方而为信息系统安全运行提供基本的底层支持和保障。
安全需求主要包括：物理位程的选择、物理访问控制、防盗窃和防破坏、防雷电、防火、防静电。
2.2.2系统安全：提供安全的操作系统和安全的数据库管理系统，以实现操作系统和数拯库管理系统的安全运行。
安全需求包括：操作系统、数据库系统、服务器安全需求、基于主机的入侵检测、基于主机的漏洞扫描、基于主机的恶意代码的检测与防范、基于主机的文件完整性检验、容灾、备份与恢复。
2.2.3网络安全：为信息系统能够在安全的网络坏境中运行提供支持。
安全需求包括：信息传输安全需求（VPN、无线局域网、微博与卫星通信）、网络边界防护安全需求、网络上的检测与响应安全需求。
2.2.4数据安全：目的：实现数据的机密性、完整性、可控性、不可否认性，并进行数据备份和恢复。
01-信息安全总体方针和安全策略指引XXX公司信息安全总体方针和安全策略指引第一章总则第一条为了进一步深入贯彻落实国家政策文件要求，加强公司信息安全管理工作，切实提高公司信息系统安全保障能力，特制定本指引。
第二条本指引适合于公司。
第三条公司信息安全管理遵循如下原则：(一) 主要领导负责原则：公司主要领导负责信息安全管理工作，统筹规划信息安全管理目标和策略，建立信息安全保障队伍并合理配置资源；(二) 全员参与原则：公司全员参与信息系统的安全管理工作，将信息安全与本职工作相结合，相互协同工作，认真落实信息安全管理要求，共同保障信息系统安全；(三) 合规性原则：信息安全管理制度遵循国际信息安全管理标准，以国家信息安全法律、法规、标准、规范为根本依据，全面符合相关主管部门和公司的各类要求。
(四) 监督制约原则：信息系统安全管理组织结构、组织职责、岗位职责、工作流程层面、执行层面建立相互监督制约机制，降低因缺乏约束而产生的安全风险。
(五) 规范化原则：通过建立规范化的工作流程，在执行层面对信息系统安全工作进行合理控制，降低由于工作随意性而产生的安全风险，同时提升信息安全管理制度的可操作性。
(六) 持续改进原则：通过不断的持续改进，每年组织公司管理层对制度的全面性、适用性和有效性进行论证和审定，并进行版本修订。
第四条本指引适用于公司全体人员。
第二章信息安全保障框架及目标第五条参照国内外相关标准，并结合公司已有网络与信息安全体系建设的实际情况，最终形成依托于安全保护对象为基础，纵向建立安全管理体系、安全技术体系、安全运行体系和安全管理中心的“三个体系，一个中心，三重防护”的安全保障体系框架。
(一) “三个体系”：信息安全管理体系、信息安全技术体系和信息安全运行体系，把信息安全标准的控制点和公司实际情况相结合形成相适应的体系结构框架；(二) “一个中心”：信息安全管理中心，实现“自动、平台化”的安全工作管理、统一技术管理和安全运维管理；(三) “三重防护”：安全计算环境防护措施、安全区域边界防护措施和安全网络通信防护措施，把安全技术控制措施与安全保护对象相结合。
XXXXX公司信息安全建设规划建议书YYYY科技有限公司201X年XX月目录第1章综述 (3)1。
1概述 (3)1。
2现状分析 (4)1。
3设计目标 (7)第2章信息安全总体规划 (9)2。
1设计目标、依据及原则 (9)2。
1.1设计目标 (9)2。
1.2设计依据 (9)2.1。
3设计原则 (10)2。
2总体信息安全规划方案 (11)2.2.1信息安全管理体系 (11)2。
2.2分阶段建设策略 (15)第3章分阶段安全建设规划 (16)3。
1规划原则 (16)3.2安全基础框架设计 (17)第4章初期规划 (18)4。
1建设目标 (18)4。
2建立信息安全管理体系 (18)4。
3建立安全管理组织 (20)第5章中期规划 (22)5.1建设目标 (22)5.2建立基础保障体系 (22)5。
3建立监控审计体系 (22)5.4建立应急响应体系 (24)5。
5建立灾难备份与恢复体系 (28)第6章三期规划 (31)6。
1建设目标 (31)6。
2建立服务保障体系 (31)6.3保持和改进ISMS (32)第7章总结 (33)7。
1综述 (33)7。
2效果预期 (33)7。
3后期 (33)第1章综述1.1概述信息技术革命和经济全球化的发展，使企业间的竞争已经转为技术和信息的竞争,随着企业的业务的快速增长、企业信息系统规模的不断扩大，企业对信息技术的依赖性也越来越强，企业是否能长期生存、企业的业务是否能高效的运作也越来越依赖于是否有一个稳定、安全的信息系统和数据资产。
因此，确保信息系统稳定、安全的运行，保证企业知识资产的安全,已经成为现代企业发展创新的必然要求，信息安全能力已成为企业核心竞争力的重要部分。
企业高度重视客户及生产信息，生产资料，设计文档,知识产权之安全防护。
而终端,服务器作为信息数据的载体，是信息安全防护的首要目标.与此同时，随着企业业务领域的扩展和规模的快速扩张，为了满足企业发展和业务需要,企业的IT生产和支撑支撑系统也进行了相应规模的建设和扩展，为了满足生产的高速发展,市场的大力扩张，企业决定在近期进行信息安全系统系统的调研建设，因此随着IT系统规模的扩大和应用的复杂化，相关的信息安全风险也随之而来，比如病毒、蠕虫、垃圾邮件、间谍软件、流氓软件、数据截获、嗅探、监听、肆意泛滥，内部机密数据泄漏、办公系统受到影响等等，因此为了保证企业业务正常运营、制卡系统的高效安全的运行，不因各种安全威胁的破坏而中断，信息安全建设不可或缺，信息安全建设必然应该和当前的信息化建设进行统一全局考虑，应该在相关的重要信息化建设中进行安全前置的考虑和规划，避免安全防护措施的遗漏,安全防护的滞后造成的重大安全事件的发生。
(1) (1) (2) (3) (3) (3) (4) (5) (9) (10) (10) (10) (11) (11) (11) (11) (11) (12) (12) (13) (13) (13)数据玉泉系统运行在网络系统上，依托内外网向系统相关人员提供相关信息与服务，系统中存在着大量非公开信息，如何保护这些信息的机密性和完整性、以及系统的持续服务能力尤其重要，是信息化系统建设中必须认真解决的问题。
数据玉泉系统使用中国电信股分有限公司云计算分公司服务器。
中国电信股分有限公司云计算分公司是中国电信旗下的专业公司，集约化发展包括互联网数据中心(IDC)、内容分发网络(CDN)等在内的云计算业务和大数据服务。
中国电信股分有限公司云计算分公司在网络安全方面有丰富的实战经验，获得了国家信息安全测评信息技术产品安全测评证书及27001信息安全管理体系认证证书等一系列网络安全方面的证书(见 8 章附件)。
信息化系统安全总体目标是：结合当前信息安全技术的发展水平，设计一套科学合理的安全保障体系，形成有效的安全防护能力、隐患发现能力、应急反应能力和系统恢复能力，从物理、网络、系统、应用和管理等方面保证“信息化系统”安全、高效、可靠运行，保证信息的机密性、完整性、可用性和操作的不可否认性，避免各种潜在的威胁。
具体的安全目标是：1)、具有灵便、方便、有效的用户管理机制、身份认证机制和授权管理机制，保证关键业务操作的可控性和不可否认性。
确保合法用户合法使用系统资源；2)、能及时发现和阻断各种攻击行为，特殊是防止 DoS/DDoS 等恶意攻击，确保信息化系统不受到攻击；3) 、确保信息化系统运行环境的安全，确保主机资源安全，及时发现系统和数据库的安全漏洞，以有效避免黑客攻击的发生，做到防患于未然；4) 、确保信息化系统不被病毒感染、传播和发作，阻挠不怀好意的 Java、ActiveX 小程序等攻击网络系统；5) 、具有与信息化系统相适应的信息安全保护机制，确保数据在存储、传输过程中的完整性和敏感数据的机密性；6)、拥有完善的安全管理保障体系，具有有效的应急处理和灾难恢复机制,确保突发事件后能迅速恢复系统；7)、制定相关有安全要求和规范。
信息化项目安全及应急保障方案一、信息系统安全设计方案7.5.1.1、项目背景概述1.项目建设背景近年来随着信息化建设的加快，业务和信息化也结合越来越紧密，在给政务服务带来巨大便捷的同时，也给信息安全管理带来了严峻的挑战，因此，必须提高信息安全集中监管的能力和水平，从而减少业务应用信息系统的运营风险。
依据国家《计算机信息系统安全保护等级划分准则》、《信息系统安全等级保护基本要求》、《信息系统安全保护等级定级指南》等相关标准，结合大连市信息化建设的实际情况，开展信息系统安全等级保护建设。
2.项目范围根据国家标准化管理委员会发布的中华人民共和国国家标准《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008）中对信息系统安全共划分5个等级：第一级：应能够防护系统免受来自个人的、拥有很少资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的关键资源损害，在系统遭到损害后，能够恢复部分功能。
第二级：应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段时间内恢复部分功能。
第三级：应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。
第四级：应能够在统一安全策略下防护系统免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难、以及其他相当危害程度的威胁所造成的资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够迅速恢复所有功能。
根据本次项目工程建设要求以及上级单位和网安办对网络系统安全要求，按照第三级安全监督保护级的要求进行建设。
第四章电子政务信息安全保障学习目标：掌握基本概念并了解电子政务信息安全威胁评估及保障体系学习重点及难点：电子政务信息安全保障体系4。
1信息安全及安全保障概述4。
1.1信息安全内涵信息安全就是包含了信息环境、信息网络和通信基础设施、数据、信息内容、媒体、信息应用等多个方面的安全。
4.1。
2信息安全基本特征（1)真实性(2）可靠性（3)完整性（4）保密性(5）可用性（6）不可篡改性4。
1。
3信息安全的目标信息安全的目标就是要通过技术手段和有效的管理来确保政务信息系统的安全性，集中表现为对信息安全的保护以及对系统安全的保护.可用性目标完整性目标保密性目标可记账性目标保障性目标4。
1。
4信息安全建设原则(1）先进性原则（2）可扩展原则（3）可行性原则（4)标准化原则（5)技术管理与管理相结合原则4.1.5信息安全保障体系架构电子政务安全管理的两个层次：国家层面的管理,就是立法和制定相关的技术标准，由执法机关来监督实施电子政务系统使用单位的安全管理，过程为安全风险评估→建立管理体系管理体系具体内容：1、建立电子政务的技术保障体系2、建立电子政务运行管理体系3、建立社会服务体系4、建设电子政务基础设施体系加里·麦金农“史上最黑黑客”2001年至2002年一年间，英国人加里·麦金农非法侵入美国军方及宇航局的53处电脑网络, 令美国军方电脑网络遭受到有史以来最严重的侵入，他也因此成为“世界头号军事黑客”。
在两年间，麦金农利用黑客技术侵入了美国五角大楼、美宇航局、约翰逊航天中心以及美陆、海、空三军网络系统.江西40家网站2007年遭黑客攻击七成为政府网站江西省计算机用户协会向社会发布公告，2007年1¡ª8月份，江西至少有40家网站遭黑客恶意入侵与攻击。
据了解，40家被黑客入侵的网站中，七成为各级政府所属的相关部门网站，计算机用户协会因此希望各用户单位采取措施及时防范。
记者看到，这些被黑客入侵的网站七成以上是各级政府部门的，这些网站要么被黑客篡改首页，要么被增加了页面。
信息安全方针及安全策略制度目录1.适用范围 (1)2.信息安全总体方针 (1)3.信息安全总体目标 (1)4.信息安全工作原则 (2)5.信息安全体系框架 (2)6.主要安全策略 (2)L适用范围作为网络系统信息安全管理的纲领性文件，本文件用于指导建立并实施信息安全管理体系的行动准则，适用于网络系统的相关各项日常安全管理。
2.信息安全总体方针“积极参与明确责任预防为主快速响应风险管控持续改进”是的信息安全总体方针。
具体阐述如下：（1）在技术部的领导下，全面贯彻国家关于信息安全工作的相关指导性文件精神，在内部建立可持续改进的信息安全管理体系。
（2）全员参与信息安全管理体系建设，落实信息安全管理责任制，建立和完善各项信息安全管理制度，使得信息安全管理有章可循。
（3）通过定期的信息安全宣传、教育与培训，不断提高所有人员的信息安全意识及能力。
（4）推行预防为主的信息安全积极防御理念，同时对所发生的信息安全事件进行快速、有序地响应。
（5）贯彻风险管理的理念，定期对系统进行风险评估和控制，将信息安全风险控制在可接受的水平。
（6）持续改进信息安全各项工作，保障网络系统安全畅通与可控，保障所开发和维护信息系统的安全稳定，为社会公众提供安全可靠的招投标比选服务。
3.信息安全总体目标（1）按照等级保护三级要求，对生产网系统进行建设和运维。
（2）建立信息化资产目录（包括软件、硬件、数据信息等）。
（3）建立健全并持续改进安全管理体系。
（4）编制完成网络和信息安全事件总体应急预案，并组织应急演练。
（5）每年至少开展一次由第三方机构主导的信息安全风险评估，同时单位内部定期进行自评估，保障信息系统的安全。
（6）每年至少组织一次全范围的信息安全管理制度宣传贯彻。
4 .信息安全工作原则结合实际情况，信息安全工作的开展过程中，基本工作原则为：（1）以自身为主，坚持技术与管理并重。
（2）正确处理安全与发展的关系，以安全保发展，在发展中求安全。
